SonicWall の警告:SSLVPN SMA1000 の脆弱性に対してパッチ適用を推奨

SonicWall ‘strongly urges’ admins to patch SSLVPN SMA1000 bugs

2022/05/13 BleepingComputer — SonicWall は、Secure Mobile Access (SMA) 1000 シリーズ製品群に存在する、攻撃者による認証回避が可能であり、パッチ未適用のアプライアンスを危険にさらす可能性のある、高リスクの脆弱性に対する修正を、顧客に対して強く推奨している。SonicWall SMA 1000 SSLVPN ソリューションは、オンプレミス/クラウド/ハイブリッドデータセンターの環境における、エンタープライズ・リソースへの安全な End-to-End リモートアクセスを簡素化するために使用される製品である。

1つ目の脆弱性の CVE-2022-22282 は、認証なしでアクセス制御バイパスをもたらすもので、深刻度は High である。他の2つの脆弱性は、暗号キーのハードコードとオープン・リダイレクトを引き起こすものであり、現時点では CVE ID の発行を待っている段階にある。今週に発表したセキュリティ・アドバイザリで SonicWall は、「SMA 1000 シリーズ製品群を使用している組織は、最新のパッチにアップグレードすることを強く推奨するただし、これらの脆弱性が野放しで悪用されているという証拠はない」と述べている。

一連のセキュリティ脆弱性の影響を受けるのは、SMA 1000シリーズのモデル 6200/6210/ 7200/ 7210/ 8000v (ESX/KVM/Hyper-V/AWS/Azure) である。また、これらの脆弱性は、SMA 1000シリーズ/SMA 100シリーズ/CMS/リモートアクセス・クライアントの Ver 12.4.0 以前には影響しないとも付け加えている。

SummaryCVSS ScoreImpacted FirmwareFixed Firmware
Unauthenticated access control bypass8.2 (High)12.4.0
12.4.1
12.4.1-02994
Use of hard-coded cryptographic key5.7 (Medium)12.4.0
12.4.1
12.4.1-02994
URL redirection to an untrusted site (open redirection)6.1 (Medium)12.4.0
12.4.1
12.4.1-02994

3つの脆弱性のうちの CVE-2022-22282 は、認証されていない攻撃者に対して、アクセス・コントロールの回避と、内部リソースへのアクセスを許すため、最も深刻な脆弱性とされる。このバグは、ユーザーの操作を必要としないという、複雑度の低い攻撃であり、リモートから悪用される可能性がある。

また、暗号キー・ハードコードの脆弱性は、パッチを適用しない状況で、攻撃者が悪用に成功すると、暗号化された認証情報へのアクセスを可能になるため、深刻な結果をもたらす可能性があります。MITRE の CWE データベースには、「ハードコードされた暗号キーの使用は、暗号化されたデータが復元される可能性を大幅に増加させる。ハードコードされた暗号キーが使用されている場合、悪意のユーザーが当該アカウントを通じてアクセスすることは、ほぼ確実である」と記されている。

ランサムウェアの標的となった SonicWall デバイス

SMA 1000シリーズの VPN アプライアンスは、エンタープライズ・ネットワークへのリモート接続を保護するために使用されるため、その悪用方法を探る攻撃者が多い。
同社の VPN 製品も、ランサムウェア攻撃の標的になった経緯があり、HelloKitty/FiveHands の運営者たちが、SMA 100 アプライアンスのゼロデイ脆弱性を悪用した事例が確認されている。

2021年7月にも SonicWall は、生産終了した SMA 100 シリーズや、セキュア・リモート・アクセス製品を標的とした、ランサムウェア攻撃のリスクが高まっていることを警告していた。

SonicWall の製品は、世界の 215 の国々と地域で、50万を超えるエンタープライズ顧客に利用されており、その多くが政府機関や最大手企業のネットワークに導入されている。

SonicWall における脆弱性ですが、最近では 2022年1月24日の「SonicWall の RCE 脆弱性 CVE-2021-20038:標的型攻撃が進行中」と、3月28日の「SonicWall ファイアウォールにおける深刻な DoS 脆弱性 CVE-2022-22274 が FIX」があります。また、1月31日の「CISA の脆弱性カタログに8件が追加:Apple/SonicWall などに注意」では、CISA KEV カタログに CVE-2021-20038 が追加されたと報じられています。世界中の政府機関や大企業に導入されている SonicWall ということなので心配です。

%d bloggers like this: